Configurar & Identificar e Solucionar Problemas de Licenciamento de WLC do Catalyst 9800 com Smart Licensing Usando Política (SLUP)
Contents
Introduction
Licenciamento tradicional versus SLUP Configuração
Direct Connect CSSM SSM no local
Frequência de comunicação Redefinição de fábrica de licenças
Em caso de substituição de hardware ou RMA
Atualizando do Registro de Licença Específico (SLR) Troubleshooting
Acesso à Internet, verificações de porta e pings Syslog
Capturas de pacotes comandos show
Depurações/rastreamento Problemas comuns
A WLC não tem acesso à Internet ou o firewall está bloqueando/alterando o tráfego Alerta CA desconhecido em capturas de pacotes
Introduction
Este artigo abordará a configuração e a solução de problemas do Smart Licensing Using Policy (SLUP) no Catalyst 9800 Wireless LAN Controller (WLC) por dois métodos diferentes:
Conexão direta com o Cisco Smart Software Manager Cloud (CSSM Cloud) 1.
Através do Smart Software Manager no local (SSM no local) 2.
Este artigo não tenta cobrir todos os cenários do Smart Licensing no Catalyst 9800 que são
melhor explicados no guia de configuração do Smart Licensing Using Policy. No entanto, ele
fornece uma série de comandos úteis para solucionar problemas de conexão direta e de
Licenciamento Inteligente de SSM On-Prem usando a política no Catalyst 9800.
Opção 1. Conexão direta com os servidores em nuvem Smart Licensing (CSSM) da Cisco
Opção 2. Conexão via Smart Software Manager no local (SSM no local)
Note: Todos os comandos mencionados neste artigo são aplicáveis somente a WLCs que executam a versão 17.3.2 ou posterior.
Licenciamento tradicional versus SLUP
O Smart Licensing Using Policy foi introduzido no Catalyst 9800 com a versão de código 17.3.2. A versão inicial 17.3.2 não usa o menu de configuração SLUP na WLC webUI, que foi apresentada com a versão 17.3.3. O SLUP é diferente do licenciamento inteligente tradicional de duas
maneiras:
A WLC agora se comunica com o CSSM usando o domínio smartrecipient.cisco.com, em vez das ferramentas antigas.cisco.com
●
Em vez de "se registrar", a WLC agora "estabelece a confiança" com o CSSM ou SSM On- Prem
●
Os comandos CLI foram ligeiramente alterados
●
Não há mais Smart Licensing Reservation (SLR). Em vez disso, você pode relatar periodicamente seu uso manualmente
●
Não há mais modo de avaliação. A WLC continuará a funcionar com capacidade total mesmo sem licença. O sistema é baseado em honra e você deve relatar o uso da sua licença
periodicamente (automática ou manualmente, no caso de redes com fita isolada)
●
Configuração
Direct Connect CSSM
Depois que o token tiver sido criado no CSSM, para estabelecer a confiança, os seguintes comandos precisam ser executados:
Note: Token's Max. O número de Usos deve ser pelo menos 2 em um caso de WLC em HA SSO.
configure terminal ip http client source-interface
O comando "ip http client source-interface" especifica a interface L3 da qual os pacotes relacionados ao licenciamento serão originados
●
O comando "ip http client secure-trustpoint" especifica qual ponto de confiança/certificado será usado para a comunicação do CSSM. O nome do ponto de confiança pode ser encontrado usando o comando "show crypto pki trustpoints". Recomenda-se o uso de um certificado autoassinado TP-autoassinado-xxxxxxxx certificado ou certificado instalado pelo fabricante (também conhecido como MIC, disponível apenas em 9800-40, 9800-80 e 9800-L), normalmente chamado CISCO_IDEVID_SUDI.
●
O comando "Terminal monitor" fará com que a WLC imprima os registros no console e ajudará a confirmar se a confiança foi estabelecida com êxito. Ele pode ser desativado usando "terminal no monitor".
●
A palavra-chave "all" no último comando diz a todas as WLCs no cluster HA SSO para estabelecer a confiança com o CSSM.
●
Palavra-chave "force" diz à WLC para substituir qualquer uma das confianças estabelecidas anteriormente e tentar uma nova.
●
Note: Se a confiança não estiver sendo estabelecida, o 9800 tentará novamente 1 minuto
depois que o comando for executado e não tentará novamente por algum tempo. Inserir o
comando token novamente forçará um novo estabelecimento de confiança.
SSM no local
A configuração com SSM On-Prem é bastante semelhante à conexão direta. O token precisa ser criado no SSM On-Prem. O URL pode ser obtido da interface da Web no local na
seçãoSmart Licensing-> Inventory -> <Virtual Account> -> Generalconfigure terminal ip http client source-interface
Frequência de comunicação
O intervalo de relatório que você pode configurar na CLI ou na GUI não tem efeito.
A WLC 9800 comunica-se com o CSSM ou com o Gerenciador Inteligente de Software no Local a cada 8 horas, independentemente do intervalo de relatório configurado através da interface da Web ou da CLI. Isso significa que os pontos de acesso recém-associados podem aparecer no CSSM até 8 horas após a adesão inicial.
Você pode descobrir a próxima vez em que as licenças serão calculadas e relatadas com o
"resumo das entidades do show license air". Este comando não faz parte da saída típica de "show tech" ou "show license all":
WLC#show license air entities summary
Last license report time...: 07:38:15.237 UTC Fri Aug 27 2021 Upcoming license report time...: 15:38:15.972 UTC Fri Aug 27 2021 No. of APs active at last report...: 3
No. of APs newly added with last report...: 0 No. of APs deleted with last report...: 0
Redefinição de fábrica de licenças
A WLC Catalyst 9800 pode ter toda a sua configuração de licenciamento e redefinição de fábrica confiável enquanto mantém toda a outra configuração. Isso exige um recarregamento de WLC:
WLC-1#license smart factory reset %Warning: reload required after "license smart factory reset"
command
Em caso de substituição de hardware ou RMA
Se a WLC 9800 precisar ser substituída, o novo dispositivo terá que se registrar no CSSM/On-
Prem Smart Software Manager e ele será percebido como um novo dispositivo. A liberação da
contagem de licenças do dispositivo anterior requer a exclusão manual em "Instâncias de
produto":
Atualizando do Registro de Licença Específico (SLR)
As versões mais antigas do WLC <17.3.2 usavam um método especial de licenciamento offline chamado de Registro de Licença Específico (SLR - Specific License Registration). Este método de licenciamento foi substituído nas versões usando SLUP (17.3.2 e superior).
Se você atualizar uma controladora 9800 que estava usando o SLR para uma versão 17.3.2 ou 17.4.1, é recomendável mover para relatórios de SLUP off-line em vez de confiar nos comandos do SLR.Salve o arquivo RUM de uso da licença e registre-o no Smart Licensing Portal. Como o SLR não existe mais em versões mais recentes, ele relatará a contagem correta de licenças e liberará qualquer licença não utilizada. As licenças não serão mais "bloqueadas", mas a contagem exata de uso será informada.
Troubleshooting
Acesso à Internet, verificações de porta e pings
Em vez do tools.cisco.com usado pelo tradicional licenciamento inteligente, o novo SLUP usa o domínio smartreadver.cisco.com para estabelecer confiança. No momento em que este artigo é escrito, esse domínio é resolvido atualmente para os 3 endereços IP diferentes. Há uma
discrepância entre a capacidade de executar ping nesses 3 IPs. Apenas um deles permite. Os pings não devem ser usados como um teste de acessibilidade à Internet da WLC.
Não ser possível fazer ping nesses servidores não significa que eles não estão funcionando corretamente. A equipe de licenciamento inteligente está trabalhando para corrigir isso e tornar todos os três servidores executáveis por ping:
72.163.15.144 – responding to PING 173.36.127.16 – not responding to PING 192.133.220.90 – not responding to PING
Em vez de pings, telnet sobre a porta 443 deve ser usado como um teste de acessibilidade. O
Telnet pode ser verificado no domínio smartreceptor.cisco.com ou diretamente nos endereços IP
do servidor. Se o tráfego não estiver sendo bloqueado, a porta deve aparecer como aberta na
saída:
WLC-1#telnet smartreceiver.cisco.com 443 Trying smartreceiver.cisco.com (192.133.220.90, 443)...
Open <--- [Connection to 192.133.220.90 closed by foreign host] WLC-1#telnet 72.163.15.144 443 Trying 72.163.15.144, 443 ... Open <--- [Connection to 72.163.15.144 closed by foreign host] WLC-1#telnet 192.133.220.90 443 Trying 192.133.220.90, 443 ... Open <--- [Connection to 192.133.220.90 closed by foreign host] WLC-1#telnet 173.36.127.16 443 Trying 173.36.127.16, 443 ... Open <--- [Connection to 173.36.127.16 closed by foreign host]
Syslog
Se o comando "terminal monitor" estiver ativado enquanto o token estiver sendo configurado, a WLC imprimirá os registros relevantes na CLI. Essas mensagens também podem ser obtidas executando-se "show logging". Os registros de uma fidedignidade estabelecida com êxito serão como estes:
WLC-1#license smart trust idtoken
Registros de uma WLC sem um servidor DNS definido ou com um servidor DNS não funcional:
Aug 23 09:19:43.486: %SMART_LIC-3-COMM_FAILED: Communications failure with the Cisco Smart Software Manager (CSSM) : Unable to resolve server hostname/domain name
Registros de uma WLC com um servidor DNS funcional, mas sem acesso à Internet:
Aug 23 09:23:30.701: %SMART_LIC-3-COMM_FAILED: Communications failure with the Cisco Smart Software Manager (CSSM) : No detailed information given
Capturas de pacotes
Mesmo que a comunicação entre WLC e CSSM/SSM On-Prem SSM seja criptografada e passe por HTTPS, a execução de capturas de pacotes pode dar uma ideia do que pode estar fazendo com que a confiança não seja estabelecida. A maneira mais fácil de coletar capturas de pacotes é através da interface da Web da WLC.
Navegue até Troubleshooting > Packet Capture. Criar um novo ponto de captura:
Verifique se a caixa de seleção "Plano de controle do monitor" está ativada. Aumente o tamanho
do buffer para o máximo de 100 MB. Adicione a interface que deve ser capturada. O tráfego de
licenciamento inteligente é originado da interface de gerenciamento sem fio por padrão ou da
interface derrotada por meio do comando "ip http client source-interface <interface>":
Inicie as capturas e execute o comando "license smart trust idtoken <token> all force":
As capturas de pacotes de um estabelecimento de confiança devem conter o seguinte:
Estabelecimento da sessão TCP usando a sequência SYN, SYN-ACK e ACK 1.
Estabelecimento de sessão TLS com intercâmbio de certificado de servidor e cliente. O estabelecimento termina com o pacote "Novo tíquete de sessão"
2.
Troca de pacotes criptografados (quadros de "dados de aplicativos") em que a WLC relata o uso da licença
3.
Terminação de sessão TCP via FIN-PSH-ACK, FIN-ACK e sequência ACK 4.
Note: As capturas de pacotes conterão muito mais quadros, incluindo múltiplos de atualizações de janela TCP e quadros de "Dados de Aplicação"
Como o CSSM Cloud usa 3 endereços IP públicos diferentes, para filtrar todas as capturas de
pacotes entre o WLC e o CSSM, use o seguinte filtro do Wireshark:
ip.addr==173.36.127.16 or ip.addr==192.133.220.90 or ip.addr==72.163.15.144
Se estiver usando um SSM On-Prem, filtre o endereço IP do SSM:
ip.addr==
Exemplos de capturas de pacote de um estabelecimento de confiança bem-sucedido com CSSM diretamente conectado com todas as capturas de pacote significativas filtradas:
comandos show
Os seguintes comandos show conterão informações úteis sobre o estabelecimento de confiança:
show license status show license summary show tech-support license show license tech-support show license air entities summary show license history message (useful to see the history and content of messages sent to SL) show tech wireless (will actually get show log and show run on top of the rest which can be useful)
O comando "show license history message" é um dos mais úteis, pois pode exibir as mensagens reais enviadas da WLC e recebidas do CSSM.
Um estabelecimento de confiança bem-sucedido terá ambos "SOLICITAR: 23 de agosto 10:18:08 2021 Central" e "RESPOSTA: 23 de agosto 10:18:10 2021 Central" mensagens impressas. Se não houver nada abaixo da linha "RESPONSE", isso significa que a WLC não recebeu uma resposta do CSSM.
Exemplo de uma saída "show license history message" para um estabelecimento de confiança bem-sucedido:
REQUEST: Aug 23 10:18:08 2021 Central
{"request":"{\"header\":{\"request_type\":\"POLL_REQ\",\"sudi\":{\"udi_pid\":\"C9800-CL- K9\",\"udi_serial_number\":\"9PJK8D7OC NB\"},\"version\":\"1.3\",\"locale\":\"en_US.UTF- 8\",\"signing_cert_serial_number\":\"3\",\"id_cert_serial_number\":\"59152896
\",\"product_instance_identifier\":\"\",\"connect_info\":{\"name\":\"C_agent\",\"version\":\"5.0 .9_rel/68\",\"production\":tru
e,\"additional_info\":\"\",\"capabilities\":[\"UTILITY\",\"DLC\",\"AppHA\",\"MULTITIER\",\"EXPOR T_2\",\"OK_TRY_AGAIN\",\"POLIC
Y_USAGE\"]}},\"request_data\":\"{\\\"sudi\\\":{\\\"udi_pid\\\":\\\"C9800-CL- K9\\\",\\\"udi_serial_number\\\":\\\"9PJK8D7OCNB\\
\"},\\\"timestamp\\\":1629713888600,\\\"nonce\\\":\\\"11702702165338740293\\\",\\\"product_insta nce_identifier\\\":\\\"\\\",\\
\"original_request_type\\\":\\\"LICENSE_USAGE\\\",\\\"original_piid\\\":\\\"2e84a42f-c903-44c5- 83b2-e62e258c780f\\\",\\\"id\\\
":7898262236}\"}","signature":{"type":"SHA256","key":"59152896","value":"eiJ7IuQaTCFxgUkwls76WZx
a5DRI5AvRl2Fi1trn6H1x4HrKS/0fc
OgMqQd5POU6VNsH2j9dHco4T1NJ/aCMbR1MRmkfxyVSWsx4lmjJL1lmpOSi3ZS4FBMvlF/EBOUfowREe2oz2lrQp1cAFpPn5 SlaFezW80tMdJm08nv29pO8O7Bffyy
/Nu6SQZfIW+IdF+2qnJeNFAIZbNpg0B5d5HIJvDmDImvDu3bMRHhQAWr2KKzGFr6jPz0hs7bGY/+FlfTLQk5LFEUaKTNH/tu xJPFHlF0BtjIRQtAqy5qDpXdjVJokD h9//uhsd+NaQyfdRFludkbfUBTFkvPxHW9/5w=="}} RESPONSE: Aug 23 10:18:10 2021 Central
{"signature":{"type":"SHA256","value":"TXZE034fqAul2jy9V4+HoB2hDShl9au/5sgodiCVatmu671/6MyN7kZfE zREufY8\nOOsh4l+BZ1ZAXyQ/hVf+Q
SLrjTfO4grGeQTcH7yEj0D+gztWXCOu8RBT7/Bo9aBs\n4x1i0E6flPB3BP6yu7KIEUQZ8yHzlwDT+mVtJGi6TRrtYnV3KQM pCUmF5F5Jby78\nVNHOakQHVE0Ozrg
wOksf3SfXreNZJuzWXzjHvtmlusCQXw7ZTBzffYsNKO0lkJlr\nvgB2PkV7JUlsA481kpIvlPul6IiJXqk+2PC2IzCrCLG57 lVN3XgX6lcU581P7HK7\nrSt3mfdyK
1pEl2SHyQ/DAw==","piid":null,"cert_sn":null},"response":"{\"header\":{\"version\":\"1.3\",\"loca le\":\"en_US.UTF-8\",\"timesta
mp\":1629713890172,\"nonce\":null,\"request_type\":\"POLL_REQ\",\"sudi\":{\"udi_pid\":\"C9800- CL-K9\",\"udi_serial_number\":\"
9PJK8D7OCNB\"},\"agent_actions\":null,\"connect_info\":{\"name\":\"SSM\",\"version\":\"1.3\",\"p roduction\":true,\"capabilitie
s\":[\"DLC\",\"AppHA\",\"EXPORT_2\",\"POLICY_USAGE\",\"UTILITY\"],\"additional_info\":\"\"},\"si gning_cert_serial_number\":\"3
\",\"id_cert_serial_number\":\"59152896\",\"product_instance_identifier\":\"\"},\"status_code\":
\"FAILED\",\"status_message\": \"Invalid ProductInstanceIdentifier: 2e84a42f-c903-44c5-83b2- e62e258c780f provided in the polling request for polling id: 7898
262236\",\"retry_time_seconds\":0,\"response_data\":\"\"}","sch_response":null}
Depurações/rastreamento
Execute o comando a seguir alguns minutos após uma tentativa de estabelecimento de confiança usando um comando "license smart trust idtoken <token> all force". Os registros de IOSRP são extremamente detalhados. Adicionando o " | include smart-agent" pode ser anexado ao comando para obter apenas registros de licenciamento inteligentes.
show logging process iosrp start last 5 minutes show logging process iosrp start last 5 minutes
| include smart-agent
Problemas comuns
A WLC não tem acesso à Internet ou o firewall está bloqueando/alterando o tráfego
Capturas de pacotes incorporados na WLC são uma maneira fácil de ver se a WLC recebe alguma coisa do CSSM ou do SSM On-Prem. Se não houve resposta, provavelmente o firewall está bloqueando algo.
O comando "show license history message" imprimirá uma resposta vazia 1 segundo depois que a solicitação for enviada se nenhuma resposta tiver sido recebida da nuvem do CSSM ou do SSM On-Prem.
Por exemplo, o seguinte pode levar um engenheiro a acreditar que uma resposta vazia foi recebida, mas na realidade não houve resposta alguma:
REQUEST: Jun 29 11:12:39 2021 CET
{"request":"{\"header\":{\"request_type\":\"ID_TOKEN_TRUST\",\"sudi\":{\"udi_pid\":\"C9800-CL- K9\",\"udi_serial_number\":\"9V4ZPZPN8DW\"},\"version\":\"1.3\",\"locale\":\"en_US.UTF-
8\",\"product_instance_identifier\":\"\",\"connect_info\":{\"name\":\"C_agent\",\"version\":\"5.
0.9_rel/68\",\"production\":true,\"additional_info\":\"\",\"capabilities\":[\"UTILITY\",\"DLC\",
\"AppHA\",\"MULTITIER\",\"EXPORT_2\",\"OK_TRY_AGAIN\",\"POLICY_USAGE\"]}},\"request_data\":\"{\\
\"sudi\\\":{\\\"udi_pid\\\":\\\"C9800-CL-
K9\\\",\\\"udi_serial_number\\\":\\\"9V4ZPZPN8DW\\\"},\\\"timestamp\\\":1624957959810,\\\"nonce\
\\":\\\"12527456165463158693\\\",\\\"product_instance_identifier\\\":\\\"\\\",\\\"hostname\\\":\
\\"myc9800-
CL\\\",\\\"token\\\":\\\"ZmI3YmNmYzYtNTdhZC00N2QwLTkyMjUtOTVmMjM5YmYzNzNlLTE2Mjc1NDkx%0AODEyMjN8 Tkw4YU9zaTJDa045K2U3aG5xdlp2SE9VOGJxMkJmc0dNMWpKT0FJ%0AeUZqUT0%3D%0A\\\",\\\"mode\\\":\\\"PERMAN ENT\\\",\\\"force\\\":false,\\\"software_tag_identifier\\\":\\\"regid.2018-
05.com.cisco.WLC_9500C,1.0_85665885-b865-4e32-8184-
5510412fcb54\\\",\\\"device_list\\\":[{\\\"sudi\\\":{\\\"udi_pid\\\":\\\"C9800-CL-
K9\\\",\\\"udi_serial_number\\\":\\\"9V4ZPZPN8DW\\\"},\\\"software_tag_identifier\\\":\\\"regid.
2018-05.com.cisco.WLC_9500C,1.0_85665885-b865-4e32-8184-
5510412fcb54\\\",\\\"product_instance_identifier\\\":\\\"\\\",\\\"csr\\\":\\\"MIICnjCCAYYCAQAwOD E2MDQGA1UEAxMtMjlCQUM2OEQ3MDQ0NzQ1NzE2QjVDOEYxODdGM0Q0Q0QxNTIwOEVGRjo6MSwyMIIBIjANBgkqhkiG9w0BAQ EFAAOCAQ8AMIIBCgKCAQEAmGCVOO1Q/LiZs3je+Zvo+OsJilTb1vpL7sA80TjprHyLkqQ9mMCub1GunwtF18jzIRa1COUPk9 vDsY7bD9btvIG80x2MQFAPPmiNFR4ccvuLYzGl+XjjTjgjbsZpov6S6n3rRGJVyd5aS0S8+JCCljzwtv2rHV628RlWFwlEyz cp4Kt5dm8QBnc+dcYWWIn/X9aExPbf9P96HVL6T6+SomKT/h5hQP8wyz8ycol3XjcXN6gD/XZFyOydZ3oayi/RWjRlA0NThH PQy03bdtFiEakA8ZEWmduNRvTnmSsqKQBVVa43gjgoBzANTAOyXv6e33TRN3bQdV6UuSLcqrw1PwIDAQABoCEwHwYJKoZIhv cNAQkOMRIwEDAOBgNVHQ8BAf8EBAMCBaAwDQYJKoZIhvcNAQEFBQADggEBAHwhn+YcbEuJyYrkcFlaEfzRbJcz9KXXAZASyk W7ql3fSlv+PaHePdrh9vsxmkXiVo+UnBbk4Kr5a/mdXEG/4NOeToGUwEqf38ktZMJyL81Whl/FEj83Lhmy7Z5paJrSCWwPc1 4nHFEFJ4BuelbfmPwiK+Y6X0RHEL92ySH6UNNlVgsWsQbHnHLbacDBsjOcyf9N3xAZc/IDxakSUSYMgFGnBXwkP4aN6XZLfK KGvXtYuIs7D+omRpMijYxQfHzvVnauGi7jiDXEAJjUueNHyztgpPi191j84oEVFHvAEhhMRNakrEEp4jyD2bYOr+CVbbxbYi Bd2GKDs1/I1N1XSgM=\\\",\\\"id_cert_sn\\\":\\\"\\\"}]}\"}"} RESPONSE: Jun 29 11:12:40 2021 CET
Note: No momento, há uma solicitação de aprimoramento "CSCvy84684 - show license history message print confundindo resposta vazia quando não há resposta" que visa aprimorar a saída do comando "show license history message"
Alerta CA desconhecido em capturas de pacotes
A comunicação com CSSM ou SSM On-Prem requer um certificado "decente" no lado 9800. Pode ser autoassinado, mas não pode ser inválido ou expirado. Nesse caso, uma captura de pacote mostrará um alerta TLS para "CA desconhecida" enviada pelo CSSM quando o certificado do cliente http 9800 tiver expirado.
O licenciamento inteligente usa a configuração "ip http client", que é diferente do "ip http server"
usado pela interface da Web da WLC. Isso significa que o seguinte precisa ser configurado corretamente:
ip http client source-interface
